¿Es confiable este sitio web? Cómo comprobar si un sitio es seguro antes de comprar o iniciar sesión

Una tienda online nueva con precios que parecen demasiado buenos, un mensaje de texto de "tu paquete está retenido" con un enlace, una página de inicio de sesión que apareció después de hacer clic en un anuncio. Antes de pagar o escribir una contraseña, dedica cinco minutos a comprobar si el sitio web es legítimo. Ninguna de estas comprobaciones es perfecta por sí sola, pero juntas detectan la gran mayoría de las estafas evidentes y te dan una idea mucho mejor del resto.

Una advertencia sincera desde el principio: ninguna herramienta ni lista de verificación puede garantizar que un sitio web sea seguro. Los sitios de estafa aparecen y desaparecen en cuestión de días, y un sitio que estaba bien el año pasado puede ser hackeado hoy. Trata cada comprobación como una señal, no como un veredicto, y deja que decida el panorama general.

1. Lee la dirección, carácter por carácter

La mayor parte del phishing depende de que no mires con atención la URL. Antes que nada, revisa el dominio en la barra de direcciones: la parte justo antes de la primera barra simple.

• Typosquatting: paypa1.com, arnazon.com (r+n en lugar de m), micros0ft-support.com. Letras cambiadas, duplicadas o parecidas son el truco clásico.
• La marca como subdominio: en paypal.com.account-verify.net el dominio real es account-verify.net. Todo lo que está a su izquierda lo puede elegir libremente el propietario.
• Extensión inusual: una marca conocida con una extensión rara (.shop, .top, .xyz y muchas otras) no es prueba de fraude, pero es motivo para revisar con más cuidado.
• Caracteres parecidos de otros alfabetos: la "а" o la "о" cirílicas pueden verse idénticas a las latinas. Los navegadores suelen mostrar esos dominios en su forma codificada xn--, lo cual ya es una señal de alerta.

Si llegaste mediante un enlace en un correo, mensaje o anuncio, escribe tú mismo la dirección de la marca o usa un marcador.

2. Comprueba la antigüedad del dominio

Las tiendas fraudulentas suelen estar en dominios recién registrados, porque los más antiguos se denuncian y se bloquean. Consulta la fecha de registro con el verificador de antigüedad de dominio o el registro completo en la consulta WHOIS (los registros modernos responden mediante RDAP, el sucesor de WHOIS).

• Un dominio registrado hace unas semanas que presume de "20 años de experiencia" es una señal de alerta fuerte.
• Un dominio joven por sí solo no es una prueba: todo negocio legítimo también empieza con un dominio nuevo.
• Un dominio antiguo tampoco es prueba de honestidad. Los dominios caducados se compran y se reutilizan, y los sitios consolidados pueden ser hackeados.

Nuestro artículo sobre lo que realmente significa la antigüedad del dominio explica cómo interpretar las fechas de registro y de vencimiento.

3. HTTPS y el candado no significan "legítimo"

El candado solo indica que la conexión entre tú y el servidor está cifrada. No dice nada sobre quién administra el sitio. Los certificados gratuitos se emiten automáticamente en minutos, y las páginas de phishing usan HTTPS como algo normal.

Lo que los problemas de HTTPS sí te dicen: si una tienda o una página de inicio de sesión no tiene HTTPS, tiene un certificado caducado o un certificado de otro dominio, abandona el sitio. Puedes ver los detalles, como el emisor, las fechas de validez y los nombres que cubre, en el verificador SSL.

4. ¿Quién está detrás del sitio?

Un negocio real se puede identificar. Busca:

• un nombre legal de empresa, una dirección registrada y, en muchos países, un número de registro o fiscal, y comprueba después ese dato en el registro oficial de empresas del país;
• un número de teléfono que funcione y un correo en el dominio propio de la empresa, no solo un formulario de contacto o un correo gratuito;
• términos de venta, una política de devoluciones y una política de privacidad escritos para esta tienda, no textos copiados con el nombre de otra empresa todavía dentro;
• una dirección física que, al buscarla en un mapa, no sea un departamento residencial ni un lugar cualquiera.

Que falten datos no prueba un fraude, pero que los datos no coincidan (una tienda de "Londres" con un número de empresa que no existe) es una advertencia seria.

5. Busca opiniones fuera del sitio

Las opiniones en las páginas de la propia tienda las escribe o las selecciona la tienda. Busca sitename.com reviews y sitename.com scam, y revisa plataformas independientes como Trustpilot, foros y redes sociales.

Ten en cuenta que existen reseñas falsas en todas las plataformas. Sospecha de una ráfaga de reseñas de cinco estrellas publicadas en pocos días, de textos genéricos sin detalles y de la ausencia total de reseñas en una tienda que dice tener miles de clientes. Las quejas detalladas que describen el mismo patrón (pagué, no llegó nada, el soporte dejó de responder) valen más que cualquier calificación.

6. Métodos de pago y precios

• Tarjeta o PayPal al pagar te dan una vía de recuperación: los contracargos de tarjeta y los programas de protección al comprador existen justo para los casos de "el producto nunca llegó" (las reglas dependen de tu banco y de tu país).
• Solo transferencia bancaria, cripto o tarjetas de regalo, o una petición de pagar "directamente al gerente", es una de las señales de estafa más fuertes. El dinero enviado de esta forma es muy difícil de recuperar.
• Precios muy por debajo de los demás, cuentas regresivas permanentes de "últimas 2 horas" y avisos de "solo quedan 3" en todos los productos son tácticas de presión. Los grandes descuentos existen, pero no en todo y todos los días.

7. Revisa Google Safe Browsing y un informe de confianza del dominio

El estado de Google Safe Browsing se puede consultar para cualquier sitio en transparencyreport.google.com/safe-browsing/search. Muestra si Google considera peligroso el sitio en este momento (phishing, malware, software no deseado). Un resultado limpio significa "aún no marcado", no "seguro": los sitios de estafa nuevos muchas veces todavía no están en ninguna lista.

Para tener una visión técnica más amplia, ejecuta la verificación de confianza del dominio: HTTPS, certificado, encabezados de seguridad, registros DNS y de correo, y buenas prácticas básicas de SEO. Un sitio bien configurado no es automáticamente honesto, pero una tienda que dice ser una gran marca y no cumple ninguna de las bases resulta sospechosa. Cómo leer ese informe se explica en la guía de verificación de confianza del dominio. El escáner de seguridad web añade una revisión pasiva en busca de señales de código malicioso, software desactualizado con vulnerabilidades conocidas y apariciones en URLhaus.

Cómo revisar un enlace sospechoso sin hacer clic

Si el enlace llegó en un mensaje, no lo abras para "ver qué pasa". En su lugar:

1. Mira el destino real. En una computadora, pasa el cursor sobre el enlace; en el teléfono, mantenlo presionado y lee la dirección en la vista previa sin abrirlo.
2. Expande los enlaces cortos. Los acortadores ocultan el destino. Pega la URL corta en el verificador de redirecciones: sigue cada salto en nuestro servidor y muestra dónde termina la cadena, sin cargar la página en tu navegador. Más sobre cómo leer las cadenas: cómo revisar redirecciones.
3. Consulta a los escáneres. VirusTotal comprueba una URL con decenas de proveedores de seguridad; URLhaus registra direcciones que distribuyen malware; Google Safe Browsing cubre el phishing. Varios resultados limpios tranquilizan, pero tampoco son una garantía.
4. Ve por el camino largo. Si el mensaje dice ser de tu banco o de un servicio de paquetería, abre su app o escribe tú mismo su dirección y busca la misma notificación ahí.

Lista de verificación rápida

• El dominio está escrito exactamente bien y la marca es el dominio real, no un subdominio.
• El dominio no tiene solo días o semanas de antigüedad; o, si la tiene, todo lo demás cuadra.
• HTTPS funciona y el certificado coincide con el dominio (necesario, no suficiente).
• Existen datos de la empresa y coinciden con el registro oficial.
• Existen reseñas independientes y no describen una y otra vez la misma queja.
• Puedes pagar con tarjeta o PayPal; nadie te pide cripto, tarjetas de regalo ni transferencias.
• Google Safe Browsing y los escáneres de seguridad no marcan el sitio.

Si ya pagaste o ingresaste una contraseña

• Pagaste con tarjeta: llama a tu banco de inmediato, bloquea la tarjeta si ingresaste tus datos y pregunta por un contracargo. Los bancos tienen plazos, así que no esperes.
• Pagaste con PayPal o un marketplace: abre una disputa a través de su centro de resolución.
• Ingresaste una contraseña: cámbiala en el sitio real y en todos los lugares donde la hayas reutilizado, activa la autenticación de dos factores y cierra la sesión en otros dispositivos.
• Denuncia el sitio: a Google Safe Browsing (el formulario de "reportar phishing"), al proveedor de hosting o al registrador que aparece en WHOIS, y al CERT nacional de tu país o a la autoridad de protección al consumidor. Las denuncias ayudan a que el sitio sea bloqueado para la siguiente persona.
• Conserva las pruebas: capturas de pantalla, la URL, confirmaciones de pedido y comprobantes de pago.